强化跨站脚本：DOM 问题

Question

如何解决最后两行的问题？

接收器：jQuery() 封闭方法：handleFilter() 污点标志：WEB、XSS

 function handleFilter(panelId, textFilterId) {

        var text = $('#' + textFilterId).val();

        if(text === ''){

            $('.removedByFilter').css('display', 'visible');

        } else {

            text = text.toLowerCase();

            $('.removedByFilter').css('display', 'visible');

            $('.' + panelId + ' .ui-treetable-data tr').removeClass('removedByFilter');

            $('.' + panelId + ' .ui-treetable-data tr td label:not([title*=' + text + '])').parent().parent('tr').addClass('removedByFilter');

            $('.' + panelId + ' .ui-treetable-data tr td label:not([title*=' + text + '])').parent().parent('tr').css( 'display', 'none' );

        }

    }

Answer 1

如果有任何可以插入的用户输入或数据，为了避免 DOM XSS，您可以使用 js 编码器 <%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>。如果没有用户干预（对于相关变量），即它是系统生成的值或硬编码值，那么它可以被视为误报。 另外，应该检查来自数据库的值。我希望这回答了你的问题。